Data Poisoning

Was ist Data Poisoning?

Data Poisoning bezeichnet die gezielte oder unbeabsichtigte Verfälschung von Daten, mit denen ein KI-System trainiert, nachtrainiert oder zur Laufzeit versorgt wird. Manipulierte Beispiele, Dokumente oder Bewertungen können dazu führen, dass das System falsche Zusammenhänge lernt, bestimmte Antworten bevorzugt oder bei definierten Auslösern unerwünscht reagiert.

Data Poisoning (deutsch: Datenvergiftung) greift die Datengrundlage eines KI-Systems an. Das Ziel besteht darin, dessen späteres Verhalten zu verändern, ohne zwingend das Modell oder die Anwendung direkt anzugreifen. Betroffen sein können Trainingsdaten, Feedback-Daten, Wissensdatenbanken und externe Quellen, die eine generative KI zur Beantwortung aktueller Fragen abruft.

Wie funktioniert Data Poisoning?

Data Poisoning funktioniert, indem fehlerhafte oder manipulierte Informationen in einen Datenbestand gelangen, den ein KI-System als vertrauenswürdig verarbeitet. Beim nächsten Training kann das Modell falsche Muster übernehmen. Bei einer Suchanwendung mit Retrieval-Augmented Generation, kurz RAG, können manipulierte Dokumente bereits zur Laufzeit in den abgerufenen Kontext gelangen und dadurch die Antwort beeinflussen.

Ein typischer Angriff besteht aus vier Schritten:

Der Angreifer identifiziert eine Datenquelle, die das KI-System verarbeitet.
Manipulierte Inhalte werden in diese Quelle eingeschleust oder legitime Einträge werden verändert.
Das System übernimmt die Inhalte beim Training, Nachtraining oder Abruf.
Bestimmte Fragen, Begriffe oder Auslöser führen anschließend zu verzerrten Antworten.

Die Wirkung hängt nicht allein von der Menge manipulierter Daten ab. Relevant sind auch die Position im Trainingsprozess, die Gewichtung der Quelle, die Häufigkeit ähnlicher Beispiele und die Frage, ob der manipulierte Inhalt ein bestimmtes Muster erzeugt. Ein kleiner, gezielt platzierter Datensatz kann deshalb unter passenden Bedingungen stärker wirken als eine große Menge unstrukturierter Falschinformationen.

Ein öffentlich veröffentlichter Text verändert ein bereits trainiertes Sprachmodell nicht automatisch. Er kann jedoch Antworten beeinflussen, wenn eine KI den Text über eine Websuche oder ein RAG-System abruft. Eine spätere Übernahme in Trainings- oder Nachtrainingsdaten ist ein davon getrennter Prozess.

Arten der Datenvergiftung

Manipulation von Trainingsdaten

Bei der Vergiftung von Trainingsdaten werden Beispiele verändert, falsch beschriftet oder gezielt ergänzt. Ein Klassifikationssystem könnte dadurch lernen, bestimmte unerwünschte Inhalte einer harmlosen Kategorie zuzuordnen. Bei generativen Modellen kann die Manipulation beeinflussen, welche Begriffe miteinander verbunden werden oder welche Aussage das Modell als wahrscheinlich fortsetzt.

Backdoor-Angriffe

Ein Backdoor-Angriff verbindet manipulierte Trainingsbeispiele mit einem definierten Auslöser. Ohne diesen Auslöser kann das Modell weitgehend normal reagieren. Sobald ein bestimmtes Wort, Muster oder Merkmal erscheint, erzeugt das Modell das vom Angreifer gewünschte Ergebnis. Die unauffällige Leistung im regulären Test erschwert die Erkennung dieser Variante.

Vergiftung von Wissensquellen

Bei RAG- und Suchsystemen richtet sich Data Poisoning gegen Dokumente, Datenbanken oder Webseiten, die für eine Antwort abgerufen werden. Ein Angreifer kann beispielsweise falsche Produktinformationen, erfundene Unternehmensdaten oder manipulierte Anleitungen veröffentlichen. Wird die Quelle als relevant eingestuft, kann ihr Inhalt direkt in eine KI-Antwort einfließen, obwohl das Grundmodell unverändert bleibt.

Manipuliertes Nutzerfeedback

Feedback Poisoning nutzt Bewertungen, Korrekturen oder Reaktionen, mit denen ein System verbessert werden soll. Automatisierte positive Bewertungen für falsche Antworten oder gezielte negative Bewertungen für korrekte Ergebnisse können Optimierungsprozesse verzerren. Dieses Risiko steigt, wenn Feedback ungeprüft übernommen wird und einzelne Nutzer viele Signale erzeugen können.

Data Poisoning und GEO 2026

Für GEO, ausgeschrieben Generative Engine Optimization, betrifft Data Poisoning vor allem die Qualität und Vertrauenswürdigkeit der Quellen hinter KI-Antworten. Unternehmen optimieren Inhalte für ChatGPT, Perplexity, Gemini und andere KI-Suchen. Dabei muss die Optimierung auf belegbaren Informationen, eindeutigen Entitäten und konsistenten Unternehmensdaten beruhen. Koordinierte Falschinformationen können dagegen dazu führen, dass KI-Systeme falsche Eigenschaften, Beziehungen oder Empfehlungen wiedergeben.

Ein verbreiteter Denkfehler besteht darin, jede inhaltliche Optimierung für KI-Suchen als Manipulation einzuordnen. Der Unterschied liegt in der Richtigkeit und Absicht: Seriöse GEO-Maßnahmen für KI-Sichtbarkeit erleichtern Maschinen den Zugriff auf überprüfbare Informationen. Data Poisoning schleust falsche oder irreführende Signale ein, damit ein System zu einem sachlich unbegründeten Ergebnis gelangt.

SEO und GEO teilen bei diesem Thema ein gemeinsames Qualitätsfundament. Eindeutige Autoren, nachvollziehbare Aktualisierungen, konsistente Markendaten und belastbare externe Bestätigungen helfen Suchmaschinen und KI-Systemen bei der Einordnung einer Quelle. Eine dokumentierte Content-Marketing-Strategie sollte deshalb festlegen, wer Informationen freigibt, welche Primärquelle gilt und wie Änderungen geprüft werden.

Abgrenzung zu ähnlichen Angriffen

Begriff	Angriffsziel	Zeitpunkt	Typisches Ergebnis
Data Poisoning	Trainings-, Feedback- oder Wissensdaten	Vor dem Training oder beim Datenabruf	Dauerhaft oder wiederholt verzerrtes Verhalten
Prompt Injection	Anweisungen im aktuellen Kontext	Während einer Anfrage	Umgehung oder Veränderung der vorgesehenen Aufgabe
Model Poisoning	Modellparameter oder bereitgestellte Modellversion	Bei Entwicklung oder Verteilung	Manipuliertes Modellverhalten
Halluzination	Kein zwingender Angriff	Bei der Generierung	Plausibel klingende, unbelegte oder falsche Aussage

Der Unterschied zwischen Data Poisoning und Prompt Injection liegt im angegriffenen Bestandteil. Data Poisoning verändert die Datenbasis, aus der ein System lernt oder Informationen abruft. Prompt Injection platziert dagegen eine schädliche Anweisung in der aktuellen Eingabe oder in einem abgerufenen Dokument. Ein manipuliertes Dokument kann beide Methoden kombinieren, wenn es zugleich falsche Fakten und versteckte Anweisungen enthält.

Eine Halluzination ist ebenfalls nicht automatisch ein Hinweis auf Data Poisoning. Generative Modelle können falsche Aussagen ohne äußere Manipulation erzeugen, weil sie Wahrscheinlichkeiten berechnen und keine eingebaute Wahrheitsprüfung besitzen. Ein Poisoning-Verdacht wird plausibler, wenn derselbe Fehler reproduzierbar bei bestimmten Begriffen auftritt oder mehrere Antworten auf dieselbe auffällige Quelle zurückgreifen.

Eine hohe Position in einer Suchmaschine oder die häufige Nennung durch andere Webseiten beweist nicht, dass eine Information korrekt ist. Prüfe bei geschäftskritischen KI-Antworten immer die Originalquelle, das Veröffentlichungsdatum, den Autor und unabhängige Bestätigungen.

Data Poisoning erkennen

Data Poisoning lässt sich selten mit einer einzelnen Kennzahl nachweisen. Aussagekräftig ist der Vergleich wiederholbarer Tests: Stelle einem System eine feste Gruppe identischer Fragen, dokumentiere Antwort, Quellen und Zeitpunkt und beobachte Veränderungen. Auffällig sind neue Tatsachenbehauptungen ohne Primärquelle, wiederkehrende Fehler bei einem bestimmten Auslöser oder ein plötzlicher Wechsel der bevorzugten Quellen.

Messbar ist das zum Beispiel so: Definiere relevante Marken-, Produkt- und Branchenfragen und erfasse regelmäßig Erwähnung, Position, Antwortinhalt und zitierte Domains. Das KI-Analyse-Tool der Performance Suite misst die KI-Sichtbarkeit in ChatGPT, Perplexity, Gemini und Grok und macht die verwendeten Quellen nachvollziehbar. Ein Quellenwechsel ist noch kein Angriffsnachweis, liefert aber einen konkreten Prüfpunkt.

Für eine belastbare Prüfung empfiehlt sich folgende Reihenfolge:

Vergleiche die Aussage mit der offiziellen Primärquelle.
Prüfe, ob mehrere unabhängige Quellen denselben Sachverhalt bestätigen.
Teste verschiedene Formulierungen derselben Frage.
Dokumentiere, bei welchem Begriff oder Kontext der Fehler erscheint.
Kontrolliere interne Datenbestände auf unbekannte Änderungen und Dubletten.

Schutz vor Data Poisoning

Der wirksamste Schutz beginnt mit kontrollierten Datenwegen. Unternehmen sollten dokumentieren, aus welchen Quellen Trainings-, Analyse- und RAG-Daten stammen, wer Änderungen vornehmen darf und wann ein Datensatz zuletzt geprüft wurde. Versionsstände und Freigabeprozesse ermöglichen es, eine Manipulation zeitlich einzugrenzen und einen vertrauenswürdigen Zustand wiederherzustellen.

Für eigene KI-Anwendungen reduziert eine Kombination mehrerer Kontrollen das Risiko:

Quellen erhalten eine nachvollziehbare Herkunft und einen verantwortlichen Eigentümer.
Neue Datensätze werden vor der Übernahme auf Ausreißer, Duplikate und widersprüchliche Labels geprüft.
Externe Dokumente gelangen nur nach einer Vertrauensprüfung in den abrufbaren Wissensbestand.
Modelle werden vor und nach Datenänderungen mit denselben Kontrollfragen getestet.
Kritische Antworten benötigen Primärquellen oder eine menschliche Freigabe.

Für Marketing-Abteilungen ist außerdem eine zentrale Faktenbasis sinnvoll. Produktmerkmale, Preise, Ansprechpartner, Standorte und Unternehmensbeschreibungen sollten über Website, strukturierte Daten, Presseinformationen und Profile hinweg übereinstimmen. Bei der Erstellung von KI-Texten im Unternehmen müssen Fakten aus freigegebenen Daten stammen, statt aus unkontrollierten Modellantworten übernommen zu werden.

Häufige Fragen zu Data Poisoning

Kann eine einzelne Webseite eine KI vergiften?

Eine einzelne Webseite verändert ein bereits trainiertes Modell normalerweise nicht direkt. Sie kann jedoch eine webgestützte Antwort beeinflussen, wenn das KI-System die Seite abruft und als relevante Quelle bewertet. Eine Übernahme in spätere Trainingsdaten ist ein zusätzlicher, davon getrennter Vorgang.

Ist Data Poisoning illegal?

Die rechtliche Bewertung hängt von Handlung, Ziel und Folgen ab. Unbefugte Änderungen an Datenbeständen, Betrug, Rufschädigung oder Angriffe auf IT-Systeme können rechtliche Ansprüche und strafrechtliche Folgen auslösen. Eine konkrete Einordnung erfordert eine juristische Prüfung des Einzelfalls.

Kann Data Poisoning wieder entfernt werden?

Manipulierte Einträge können entfernt werden, wenn ihre Herkunft und ihr Einfluss bekannt sind. Bei bereits trainierten Modellen kann zusätzlich ein erneutes Training, gezieltes Nachtraining oder der Austausch der betroffenen Modellversion erforderlich sein. Versionierte Datenbestände erleichtern die Wiederherstellung.

Sind nur große KI-Modelle betroffen?

Data Poisoning kann jedes datenbasierte System betreffen, darunter Spamfilter, Produktempfehlungen, Bilderkennung, Prognosemodelle und interne Wissensassistenten. Kleine Systeme sind ebenfalls gefährdet, besonders wenn wenige Datensätze großen Einfluss auf das Ergebnis haben.

Wie unterscheidet sich Data Poisoning von SEO-Spam?

SEO-Spam soll Suchergebnisse durch minderwertige oder irreführende Inhalte beeinflussen. Data Poisoning zielt auf die Datenbasis eines KI-Systems. Derselbe Inhalt kann beide Funktionen erfüllen, wenn er für Suchmaschinen veröffentlicht und zugleich von einer KI als Wissensquelle verarbeitet wird.

Wie prüfe ich, ob eine KI-Antwort manipuliert wurde?

Vergleiche die Antwort mit Primärquellen, kontrolliere die zitierten Dokumente und wiederhole die Frage mit mehreren Formulierungen. Ein Angriff ist wahrscheinlicher, wenn derselbe sachliche Fehler reproduzierbar mit einem bestimmten Begriff, Dokument oder Auslöser verbunden ist.